Betroffen ist SAP Commerce Cloud. Die Plattform bringt einen voreingestellten Authentifizierungs-Client mit, den ein Angreifer ohne eigene Zugangsdaten missbrauchen kann. Über diesen Weg lassen sich speziell präparierte Eingaben an bestimmte Funktionen übergeben, die die übergebenen Daten nicht ausreichend prüfen. Dadurch kann der Angreifer eigenen Programmcode zur Ausführung bringen und interne Komponenten der Anwendung unter seine Kontrolle bringen. In der Folge sind vertrauliche Daten einsehbar, Inhalte und Abläufe manipulierbar und die Verfügbarkeit der Anwendung gefährdet. Da weder eine Anmeldung noch eine Benutzerinteraktion nötig ist und Commerce-Systeme üblicherweise aus dem Internet erreichbar sind, steht der Angriffsweg unmittelbar offen.